Hay algo curioso en la seguridad, muchas veces no necesitamos estar seguros para comportarnos como si lo estuviéramos.
Una cámara en una esquina. Un cartel que avisa de que estamos siendo vigilados. Un antivirus instalado en el ordenador. Un candado enorme en una puerta. Una acreditación colgada del cuello de alguien que entra en una oficina.
Todos ellos tienen algo en común: nos transmiten un mensaje.
«Aquí hay seguridad.»
Y nuestro comportamiento cambia. El problema aparece cuando confundimos esa sensación con la seguridad real.
En seguridad existe un término bastante gráfico para describirlo: security theater. El concepto hace referencia a medidas que pueden generar una apariencia o sensación de seguridad mayor que la protección efectiva que proporcionan.
Y lo curioso es que no hace falta irse a un aeropuerto, a un banco o a un centro de datos para encontrar ejemplos. Podemos encontrarlo en un cuadro del siglo XVII.
El preso que se porta bien aunque nadie esté mirando
Jeremy Bentham diseñó a finales del siglo XVIII el famoso panóptico: una estructura penitenciaria pensada para que un vigilante pudiera observar a los presos sin que estos supieran cuándo estaban siendo observados.
La clave no estaba en tener un guardia detrás de cada preso.
Estaba en que el preso no supiera si el guardia estaba mirando.
Y ahí aparece una idea bastante poderosa: si creo que me están observando, puedo modificar mi comportamiento aunque nadie esté observándome realmente. No hace falta vigilancia constante, hace falta que la vigilancia sea creíble.
La diferencia parece pequeña, pero es fundamental. La seguridad no está actuando únicamente sobre el entorno; está actuando sobre la percepción de las personas que están dentro de él.
Y eso nos lleva directamente a una pregunta bastante incómoda:
¿Cuánto de nuestra seguridad depende realmente de que exista una protección y cuánto depende de que creamos que existe?
¿Qué está pasando en Las Meninas?
Aquí es donde el cuadro de Velázquez empieza a resultar especialmente interesante.
En Las Meninas aparecen la infanta Margarita, sus meninas, Velázquez, los enanos Mari Bárbola y Nicolasito Pertusato, el perro y otros personajes de la corte. Al fondo, en un espejo, aparecen reflejados Felipe IV y Mariana de Austria.
Y luego estamos nosotros, el espectador. Lo fascinante del cuadro es que no resulta nada sencillo determinar quién está mirando a quién. Velázquez parece estar trabajando en un cuadro que queda fuera de nuestra vista, algunos personajes miran hacia nosotros, otros miran hacia la infanta, los reyes aparecen en el espejo.
Y nosotros observamos toda la escena desde un lugar que, de alguna manera, parece formar parte de ella.
EL cuadro nos convierte en observadores y, al mismo tiempo, hace que sintamos que también podemos estar siendo observados.
Y ahí está el paralelismo con el panóptico. No necesitamos saber exactamente quién está mirando, nos basta con tener la sensación de que alguien podría hacerlo.
La cámara que no sirve para nada… pero funciona
Imaginemos ahora una cámara de vigilancia falsa, no graba, no almacena imágenes, no está conectada a ningún SOC…
Desde el punto de vista de la detección, su utilidad es exactamente cero, pero alguien entra en una habitación, la ve y piensa:
«Hay una cámara.»
Y quizá decide no hacer algo que habría hecho si la cámara no estuviera allí. ¿Ha funcionado la cámara? Pues depende de qué entendamos por «funcionar».
Como sistema de vigilancia, no.
Como elemento disuasorio, quizá sí.
Y aquí está precisamente el problema del security theater: una medida puede ser eficaz para modificar el comportamiento y, al mismo tiempo, ser completamente ineficaz para detectar o impedir un ataque real.
Esto ocurre también en sentido contrario. Podemos tener una medida técnicamente excelente y, sin embargo, generar una falsa sensación de protección si el usuario no entiende qué cubre.
Un antivirus es un ejemplo bastante sencillo.
Tener antivirus no significa que podamos abrir cualquier archivo que llegue por correo, tener MFA no significa que el phishing haya dejado de existir, tener un EDR no significa que cualquier ataque vaya a ser detectado automáticamente, tener copias de seguridad no significa que una organización pueda permitirse perder sus sistemas.
La herramienta puede estar funcionando perfectamente, lo que falla es nuestra interpretación de lo que esa herramienta significa, además, detrás de todas estas herramientas debe haber algo o alguien orquestando e interpretando.
El problema de «ya estamos protegidos»
Esta es probablemente una de las trampas más peligrosas de la seguridad.
Instalamos una solución y damos por cerrado el problema.
- Tenemos firewall.
- Tenemos antivirus.
- Tenemos MFA.
- Tenemos cámaras.
- Tenemos EDR.
- Tenemos un SOC.
- Tenemos un SIEM.
- Tenemos…
Cuidado con acumular herramientas porque sí, sobre todo sin gente detrás que haga bien su trabajo; además, casi sin darnos cuenta, empezamos a cambiar nuestra percepción del riesgo.
«Ya estamos protegidos.»
Y aquí aparece una paradoja bastante curiosa: una medida de seguridad puede hacer que asumamos más riesgos precisamente porque sabemos que existe.
Es como llevar cinturón de seguridad y pensar que, por ese motivo, conducir más rápido deja de ser peligroso.
El cinturón hace su trabajo, pero no hace el trabajo de los frenos, ni el de los airbags, ni el de quien conduce, y, desde luego, no convierte una mala decisión en una buena decisión.
En ciberseguridad sucede exactamente lo mismo. Una herramienta no elimina el riesgo; modifica una parte de él.
Mirar no es lo mismo que observar
Aquí es donde entra otra cuestión que me parece especialmente interesante en relación con el arte. Seguro que alguna vez has tenido delante un retrato cuyos ojos parecen seguirte cuando te desplazas por la habitación.
No te están siguiendo.
El cuadro no cambia.
Pero tu cerebro interpreta la mirada como algo dirigido hacia ti. Y eso nos lleva a otra cuestión: cuando miramos un cuadro, ¿Qué vemos realmente?
Haz la prueba.
Mira durante unos segundos un retrato con una mirada muy marcada. Después aparta la vista e intenta reconstruirlo mentalmente.
Probablemente recuerdes los ojos, la cara, la expresión, quizá el color predominante, pero seguramente no seas capaz de recordar con precisión todos los objetos que había alrededor.
Nuestro cerebro no funciona como una cámara que registra todo lo que tiene delante con la misma importancia, selecciona, presta atención a unas cosas y descarta otras.
Y esto conecta de una manera muy directa con el artículo anterior sobre Focus. (Como hilo los blogs…)
En aquella película veíamos cómo el engaño puede consistir en conseguir que una persona mire exactamente donde queremos que mire. No necesariamente hay que ocultar lo importante. A veces basta con llenar el escenario de algo que capture su atención.
En seguridad ocurre algo parecido. Un analista puede estar mirando un dashboard lleno de información y, aun así, no estar viendo lo importante, puede tener cientos de alertas delante y concentrarse en una, puede encontrar una anomalía y asumir que esa anomalía explica todo el incidente, puede estar mirando el sistema correcto y hacerse la pregunta equivocada.
Ver no significa detectar.
Y detectar tampoco significa comprender.
Y ahora… volvamos un momento a Frank Abagnale
En aquel artículo hablábamos de cómo Frank consigue que las personas confíen en él. Un uniforme de piloto, una actitud segura, un determinado tono de voz o simplemente comportarse como alguien que pertenece al lugar pueden ser suficientes para que los demás completen mentalmente la historia.
Frank no necesita demostrar constantemente que es un piloto, le basta con parecerlo, de alguna manera, eso también es security theater, aunque desde el otro lado.
El uniforme funciona como una señal de seguridad. La persona que lo ve interpreta:
«Es piloto.»
«Por tanto, sabe lo que hace.»
«Por tanto, pertenece aquí.»
«Por tanto, no tengo que preocuparme.»
Una pequeña señal termina produciendo una conclusión mucho más grande.
Y ahí está uno de los grandes problemas de la seguridad: confundir una señal de seguridad con una garantía de seguridad.
El atacante también juega con nuestra percepción
Esto tiene una consecuencia especialmente interesante cuando pensamos en un Red Team.
Cuando un equipo consigue acceso a una organización, el objetivo de un ejercicio no debería ser únicamente demostrar que «se puede entrar». También interesa comprobar qué ocurre después.
¿Cómo detecta la organización la actividad?
¿Qué señales aparecen?
¿Son capaces los defensores de relacionar acontecimientos que parecen independientes?
¿Saben distinguir una anomalía aislada de un incidente?
¿Tienen suficiente contexto para entender lo que está ocurriendo?
Porque un atacante no se enfrenta únicamente a herramientas.
Se enfrenta a personas, y esas personas también tienen atención limitada, información incompleta y expectativas.
Por eso la seguridad de una organización no depende únicamente de cuántas alertas sea capaz de generar, sino de su capacidad para interpretarlas correctamente.
Un SOC que genera diez mil alertas al día puede parecer extremadamente seguro.
Pero si las alertas importantes se pierden entre las demás, estamos ante una versión digital bastante sofisticada del security theater.
Mucho movimiento, muchas pantallas, muchos indicadores, y quizá nadie sabe realmente qué está pasando, los profesionales se notan.
¿Qué recordamos de un cuadro?
Hay algo más que me interesa de todo esto, cuando recordamos una imagen, no recordamos necesariamente lo que realmente vimos, recordamos una interpretación, esto sucede hasta con historias o sucesos ¿sabéis lo que es el «efecto Mandela» no?
Por eso podemos recordar perfectamente unos ojos, una cara o un objeto llamativo y olvidar casi todo lo demás, en cierto sentido, nuestra memoria también hace una especie de selección, y esto vuelve a llevarnos a la seguridad.
Una organización puede recordar «tenemos cámaras», el usuario puede recordar «tengo antivirus», el administrador puede recordar «el sistema tiene MFA», el analista puede recordar «había una alerta», pero ninguna de esas frases responde por sí sola a la pregunta importante:
¿Estamos realmente protegidos frente a lo que puede ocurrir?
La seguridad efectiva exige conocer los límites de cada control, una cámara puede detectar, un antivirus puede bloquear, un MFA puede dificultar un acceso, un EDR puede proporcionar visibilidad, un SOC puede correlacionar eventos, pero ninguno de ellos, por separado, significa «estamos seguros».
El verdadero problema del security theater
Quizá por eso el concepto me parece tan interesante incluso útil, el security theater no consiste simplemente en poner medidas de seguridad que no sirven, eso sería demasiado sencillo, lo interesante aparece cuando la percepción de seguridad supera a la seguridad real.
Una cámara falsa puede ser útil como elemento disuasorio, pero no como sistema de vigilancia, un cartel puede modificar el comportamiento, pero no detectar un incidente, un antivirus puede bloquear determinados ataques, pero no sustituir el criterio del usuario, un SOC puede tener una visibilidad enorme y, aun así, pasar por alto aquello que no sabe interpretar, y una organización puede tener una cantidad impresionante de controles de seguridad mientras mantiene vulnerabilidades básicas.
La pregunta, por tanto, no debería ser únicamente:
«¿Qué medidas de seguridad tenemos?»
Quizá deberíamos preguntar algo bastante más incómodo:
«¿Qué creemos que hacen esas medidas?»
Porque ahí puede estar la diferencia entre estar protegidos y simplemente sentirnos protegidos.
Y quizá eso sea lo más interesante que podemos sacar de un cuadro como Las Meninas: no siempre tenemos toda la información sobre quién observa, quién es observado y qué ocurre fuera de nuestro campo de visión.
En seguridad pasa exactamente lo mismo.
Lo que vemos no es necesariamente todo lo que existe.
Y sentirse seguro nunca debería ser la prueba de que realmente lo estamos.
